EN ESTA PÁGINA
Descripción general del reenvío basado en filtros
Los filtros de firewall se pueden usar para bloquear paquetes específicos. También se pueden usar para afectar la forma en que se reenvían paquetes específicos.
Filtros que clasifican paquetes o los dirigen a instancias de enrutamiento
Solo para el tráfico IPv4 o IPv6, puede usar filtros de firewall sin estado junto con clases de reenvío e instancias de enrutamiento para controlar cómo viajan los paquetes en una red. Esto se denomina reenvío basado en filtros (FBF).
Puede definir un término de filtrado que coincida con los paquetes entrantes en función de la dirección de origen y, luego, clasifique los paquetes coincidentes en una clase de reenvío especificada. Este tipo de filtrado se puede configurar para otorgar a ciertos tipos de tráfico un trato preferencial o para mejorar el equilibrio de carga. Para configurar un filtro de firewall sin estado para clasificar paquetes en una clase de reenvío, configure un término con la acción forwarding-class class-namenonterminating .
También puede definir un término de filtrado que dirija los paquetes coincidentes a una instancia de enrutamiento especificada. Este tipo de filtrado se puede configurar para enrutar tipos específicos de tráfico a través de un firewall u otro dispositivo de seguridad antes de que el tráfico continúe su ruta. Para configurar un filtro de firewall sin estado para dirigir el tráfico a una instancia de enrutamiento, configure un término con la acción routing-instance routing-instance-name <topology topology-name> de terminación para especificar la instancia de enrutamiento a la que se reenviarán los paquetes coincidentes.
La comprobación de reenvío de ruta inversa de unidifusión (uRPF) es compatible con acciones FBF. La comprobación de uRPF se procesa para comprobar direcciones de origen antes de habilitar cualquier acción FBF para interfaces estáticas y dinámicas. Esto se aplica a las familias IPv4 e IPv6.
Las rutas de descarga de servicios (SOF) y modo de alimentación Ipsec (PMI) no serán seguidas por los paquetes que se reenvían con FBF.
-
SOF: incluso si SOF está habilitado, los paquetes no pasarán por SOF si se reenvían con FBF.
-
PMI: si PMI está configurado, la dirección en la que está configurado el filtro, los paquetes en esa dirección no pasarán por el PMI. Los paquetes que regresan pasarán por el PMI, siempre que los paquetes que regresan no se reenvíen con FBF.
Cuando se realiza una ruta de seguimiento de un dispositivo a otro y un dispositivo ACX7K (Junos OS evolucionado) con enrutamiento basado en políticas configurado está en ruta de tránsito, se observan saltos duplicados en los resultados de seguimiento.
Para reenviar tráfico a la instancia de enrutamiento principal, consulte routing-instance default en la configuración del firewall, como se muestra a continuación:
[edit firewall]
family inet {
filter test {
term 1 {
then {
routing-instance default;
}
}
}
}
No haga referencia a routing-instance master. Esto no funciona.
Filtrado de entrada para clasificar y reenviar paquetes dentro del enrutador o conmutador
Puede configurar filtros para clasificar los paquetes según la dirección de origen y especificar la ruta de reenvío que toman los paquetes en el enrutador o conmutador mediante la configuración de un filtro en la interfaz de entrada.
Por ejemplo, puede usar este filtro para aplicaciones para diferenciar el tráfico de dos clientes que tienen una capa de acceso común (por ejemplo, un conmutador de capa 2) pero están conectados a diferentes proveedores de servicios de Internet (ISP). Cuando se aplica el filtro, el enrutador o conmutador puede diferenciar las dos corrientes de tráfico y dirigir cada una a la red adecuada. Según el tipo de medio que utilice el cliente, el filtro puede usar la dirección IP de origen para reenviar el tráfico a la red correspondiente a través de un túnel. También puede configurar filtros para clasificar paquetes según el tipo de protocolo IP o los bits de precedencia IP.
Filtrado de salida para reenviar paquetes a otra tabla de enrutamiento
También puede reenviar paquetes según filtros de salida configurando un filtro en las interfaces de salida. En el caso de la duplicación de puertos, es útil que los paquetes con puerto reflejado se distribuyan a varias PIC de monitoreo y PIC de recopilación según patrones en los encabezados de los paquetes. FBF en la interfaz de salida de reflejo de puerto debe estar configurado.
Los paquetes reenviados al filtro de salida han pasado por al menos una búsqueda de ruta cuando se configura un filtro FBF en la interfaz de salida. Después de que el filtro FBF clasifica el paquete en la interfaz de salida, se redirige a otra tabla de enrutamiento para una búsqueda adicional de rutas.
Restricciones para aplicar el reenvío basado en filtros
Una interfaz configurada con reenvío basado en filtros no admite el uso de clase de origen (SCU), la coincidencia de filtros ni la contabilidad de uso de clase de origen y clase de destino (SCU/DCU).
Si el reenvío basado en filtros se adjunta directamente a una interfaz o a través del filtro de la tabla de reenvío, la DCU en esa interfaz no funcionará.